NIS-2: Was jetzt vom Mittelstand verlangt wird

Mit dem NIS-2-Umsetzungsgesetz überführt Deutschland die europäische NIS-2-Richtlinie in nationales Recht – vor allem über die Novelle des BSI-Gesetzes. Das BSI geht von rund 29.500 wichtigen und besonders wichtigen Einrichtungen aus. Damit betrifft die Regulierung nicht mehr nur klassische KRITIS-Betreiber, sondern einen erheblich größeren Teil des Mittelstands.

Ob Ihr Unternehmen dazugehört, richtet sich nach Sektor, Einrichtungsart und Unternehmensgröße. Als grobe Orientierung sollten Unternehmen in den regulierten Sektoren die Betroffenheit prüfen, wenn sie mindestens 50 Beschäftigte haben oder – bei weniger Beschäftigten – sowohl der Jahresumsatz als auch die Bilanzsumme jeweils über 10 Millionen Euro liegen. Hinzu kommen sektorspezifische, größenunabhängige und konzernbezogene Sonderregeln. Entscheidend ist deshalb nicht eine einzelne Kennzahl, sondern eine dokumentierte Prüfung anhand der aktuellen BSI-Informationen; die Verantwortung dafür liegt bei der Einrichtung.

• Registrierung beim BSI: Die Registrierung nach NIS-2 erfolgt über das BSI-Portal. § 33 BSIG verlangt die Registrierung spätestens drei Monate, nachdem eine Einrichtung erstmals oder erneut unter die gesetzlichen Voraussetzungen fällt. Für Einrichtungen, die bereits mit Inkrafttreten des Gesetzes am 6. Dezember 2025 erfasst waren, endete diese gesetzliche Dreimonatsfrist daher am 6. März 2026. Wer noch nicht registriert ist, obwohl die Voraussetzungen vorliegen, sollte die Registrierung unverzüglich nachholen und den Fristverlauf dokumentieren.
• Risikomanagement: § 30 BSIG verlangt geeignete, wirksame und verhältnismäßige technische und organisatorische Maßnahmen nach Stand der Technik – darunter Risikoanalysen, Incident Response, Business Continuity mit Backups, Lieferkettensicherheit, Schwachstellenmanagement, starke Authentifizierung und Schulungen.
• Meldepflichten: Erhebliche Sicherheitsvorfälle werden über das BSI-Portal in einem gestuften Verfahren gemeldet: eine frühe Warnung grundsätzlich innerhalb von 24 Stunden, die Vorfallmeldung innerhalb von 72 Stunden und der Abschlussbericht spätestens einen Monat nach der Vorfallmeldung. Der interne Prozess muss Bewertung, Freigabe und Vertretung so organisieren, dass diese Fristen auch außerhalb der Kernarbeitszeit funktionieren.

NIS-2 verankert die Verantwortung ausdrücklich auf Leitungsebene. Geschäftsleitungen müssen die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen, um Risiken und Auswirkungen auf die Dienste der Einrichtung beurteilen zu können. Diese Governance-Aufgabe kann operativ unterstützt, aber nicht vollständig an IT oder Informationssicherheit delegiert werden. Haftungsfragen richten sich nach dem konkreten Einzelfall und den anwendbaren gesetzlichen Regeln.

Die möglichen Sanktionen unterscheiden sich nach Verstoß. Für bestimmte materielle Verstöße – etwa gegen Risikomanagement- oder Meldepflichten – sieht § 65 BSIG bei besonders wichtigen Einrichtungen Bußgelder bis zu 10 Millionen Euro und bei wichtigen Einrichtungen bis zu 7 Millionen Euro vor; bei Einrichtungen mit mehr als 500 Millionen Euro Gesamtumsatz können für bestimmte Verstöße stattdessen umsatzbezogene Höchstgrenzen von 2 % beziehungsweise 1,4 % greifen. Verstöße gegen die Registrierung beziehungsweise die nach § 33 zu übermittelnden Angaben haben einen eigenen Bußgeldrahmen bis 500.000 Euro.

1. Betroffenheit sauber prüfen. Sektor, Einrichtungsart, Beschäftigtenzahl, Jahresumsatz, Bilanzsumme sowie Partner- und verbundene Unternehmen – gerade Zurechnungsfragen führen häufig zu Fehleinschätzungen. Das Ergebnis gehört dokumentiert, auch wenn es „nicht betroffen“ lautet.
2. Lücken ermitteln statt Panik kaufen. Eine strukturierte Gap-Analyse gegen § 30 BSIG zeigt, welche bestehenden Kontrollen belastbar nachgewiesen sind und was fehlt. Ein vorhandenes ISO-27001-System ist eine hilfreiche Grundlage, ersetzt aber weder die konkrete BSIG-Prüfung noch Registrierung, Meldeverfahren und Pflichten der Geschäftsleitung.
3. Priorisieren und umsetzen. Registrierung, Meldewege und Backup-/Notfallprozesse zuerst – sie sind schnell umsetzbar und decken das größte Risiko. Danach systematisch: Lieferkette, Schulungen, Dokumentation.

Auch dann lohnt der Blick: NIS-2-pflichtige Unternehmen müssen Risiken in ihrer Lieferkette berücksichtigen und geben Sicherheitsanforderungen zunehmend an Dienstleister und Zulieferer weiter. Allein daraus entsteht für einen Zulieferer aber keine eigene NIS-2-Registrierungspflicht. Ob ein Unternehmen selbst registrierungspflichtig ist, richtet sich nach seiner eigenen Einordnung nach dem BSIG. Wer als kleineres Unternehmen grundlegende Sicherheitsmaßnahmen belastbar nachweisen kann, verbessert trotzdem seine Position in Ausschreibungen und Lieferantenbewertungen. Wie Technik, Organisation und Wiederanlauf als eine Betriebsfrage zusammengehören, zeigt die Vertiefung Cybersecurity: Sicherheit als Betriebsfrage.